MVC表单身份验证下，如何绕过指定控制器/操作的身份验证？

原因分析 #

你在web.config里用<location>配置没生效，是因为MVC的请求路由机制和Web Forms不同，<location>的path参数基于文件路径匹配，而MVC是通过路由规则映射到控制器和动作方法，所以这种方式无法正确匹配MVC控制器的请求。

正确实现方式 #

方法1：使用[AllowAnonymous]特性（推荐） #

这是MVC官方推荐的方案，直接在目标控制器或动作方法上添加该特性即可：

• 绕过整个控制器的身份验证：

[AllowAnonymous]
public class AccountController : Controller
{
    // 该控制器下所有动作方法都无需验证
    public ActionResult Login()
    {
        return View();
    }

    public ActionResult Register()
    {
        return View();
    }
}

• 仅绕过单个动作方法：

public class AccountController : Controller
{
    [AllowAnonymous]
    public ActionResult Login()
    {
        return View();
    }

    // 此方法仍需身份验证
    [Authorize]
    public ActionResult Manage()
    {
        return View();
    }
}

方法2：全局授权过滤+指定排除规则 #

如果项目设置了全局[Authorize]过滤器（比如在FilterConfig.cs中注册），可通过以下方式排除特定控制器：

1. 确认全局过滤器注册：

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new HandleErrorAttribute());
        // 全局启用身份验证过滤
        filters.Add(new AuthorizeAttribute());
    }
}

2. 直接在目标控制器添加[AllowAnonymous]，或自定义过滤器实现更灵活的排除逻辑：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 排除Account控制器的所有请求
        var controllerName = httpContext.Request.RequestContext.RouteData.Values["controller"].ToString();
        if (controllerName.Equals("Account", StringComparison.OrdinalIgnoreCase))
        {
            return true;
        }
        // 其他请求沿用默认授权逻辑
        return base.AuthorizeCore(httpContext);
    }
}

之后将全局过滤器替换为这个自定义过滤器即可。

补充：web.config方式的修正（不推荐） #

如果一定要用web.config配置，需保证path与MVC路由的URL完全匹配。比如默认路由{controller}/{action}/{id}下，要放行Account/Login需这样配置：

<location path="Account/Login">
    <system.web>
        <authorization>
            <allow users="*"/>
        </authorization>
    </system.web>
</location>

但这种方式依赖路由规则，一旦路由修改就需同步调整web.config，灵活性远不如特性标记的方式。

内容的提问来源于stack exchange，提问作者Abhijith Bhaskaran